A2B攻撃でなぜ情報漏洩が起きるのか、NICTが注意喚起したAndroidアプリ解析と利用者にできること

A2B攻撃とは何か、NICTが10月13日に公表したこと

NICTのプレスリリース、CYNEXの注意喚起ページ、注意喚起PDF（全7ページ）の3つの原本をもとに、分かっていることと書かれていないことを分けて並べます。

公開アプリを手がかりに、裏側のサーバーを狙う

国立研究開発法人情報通信研究機構（NICT）の脅威情報分析チームLETTICEは、2026年10月13日、「【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」」を公表しました。LETTICEは、NICTのサイバーセキュリティネクサス（CYNEX）で2024年2月に発足した、脅威情報の共同分析チームです。

注意喚起によると、LETTICEは「一般に公開されているAndroidアプリを解析し、その結果を利用して、アプリの裏側で動作するバックエンドサーバを攻撃する手法」を確認し、「A2B攻撃（App-to-Backend Attack）」と名付けました。スマホアプリには、画面に表示する情報をその場で事業者のサーバーから受け取るものがあります。アプリとサーバーの間で情報をやり取りする仕組みがAPIです。NICTは、攻撃者が公開アプリから「API（アプリとサーバの間で情報をやり取りする仕組み）の接続先や仕様などを調べ、対象となるサーバに合わせた攻撃を実行します」と説明しています。

PDFは、この攻撃の特徴を「不特定多数のサーバに同一の攻撃を試みるのでなく、公開アプリの解析によって得られた情報を利用し、対象となるバックエンドサーバごとに攻撃内容を変化させている点」としています。また、「認証を必要としない API だけでなく、利用者アカウントによる認証後に利用できる API も攻撃対象となる場合があります。」とも書いています。

名前に「Android」が入っていますが、NICTは「同様の問題は Android アプリに限らず、iOS アプリや Web サービスのバックエンド API でも発生する可能性がある」としています。Androidのスマホを使っている人だけの話ではなく、狙われるのはどの端末からも使われる事業者側のサーバーです。

分かっていることと、書かれていないこと

NICTの3つの資料に書かれている内容と、書かれていない内容を表にまとめました。

出典：NICTプレスリリース、CYNEX Library「261013-01」、注意喚起PDF（Rev 1.1、2026年10月13日）。2026年10月14日に当社が原本を確認しました。

NICTはA2B攻撃を、相次ぐ情報漏えいの「原因の一つ」としています。すべての漏えいがこの手法によるものだとは書いていません。どのサービスが被害を受けたのか、何件の漏えいに関係しているのかも、注意喚起には書かれていません（2026年10月14日時点）。このため本稿では、個別の漏えい事案とA2B攻撃を結び付けていません。

これに先立ち、JPCERT/CCは10月8日の注意喚起で、相次ぐ不正アクセスの類型の一つに「API経由での不正な操作」を挙げ、その中で「一般公開しているスマートフォンアプリを解析しAPIのエンドポイントやキーを特定する」行為に触れていました。INTERNET Watchは、A2B攻撃がこの類型と共通すると報じています。総務省は10月13日、NICTの注意喚起を受けて「公開アプリの解析情報を悪用した攻撃への注意喚起」を事業者向けに出しました。

なぜアプリの解析が情報漏えいにつながるのか

「アプリに弱点がないのに、なぜ情報が漏れるのか」という疑問に、NICTと個人情報保護委員会の説明で答えます。攻撃の具体的なやり方には触れず、守る側から見た仕組みだけを書きます。

アプリは誰でも手に入るので、中身を秘密にしておけない

公開されているアプリは、誰でもストアから入手できます。アプリの中には、つながる先のサーバーやAPIの呼び出し方など、動くために必要な情報が入っています。NICTは「公開アプリが解析されること自体を完全に防ぐことは困難です。」としています。

NICTのPDFは、事業者が点検する項目の一つに、認証・セッション管理の不備として、固定された認証情報や暗号鍵が露出していないかの確認を挙げています。NICTが参考文献に挙げた民間のセキュリティ会社マクニカの10月7日の記事も、「スマホアプリを解析してAPIキーを取り出し、正規のアクセスに見える形でAPIを呼び出すケースもあります。」と書いています。アプリに秘密にすべき鍵が入っていると、それが手がかりになるということです（当社の見方）。

事業者から見ると、公開していないつもりだったサーバーの内部の仕組みが、アプリを通じて知られてしまうことになります。NICTは、重要なのは「アプリの内部構造や API の仕様が攻撃者に知られた場合でも、バックエンドサーバの安全性が確保されるように設計・運用すること」だとしています。

守りがアプリ側だけだと、サーバーに直接届いてしまう

NICTのPDFは、「Androidアプリ自体に脆弱性が存在しなくても、バックエンドサーバのAPIに認証・認可や入力値の検証などの不備があれば、個人情報の漏洩やサーバへの不正アクセスなどにつながる可能性があります。」としています。アプリの画面では他の人の情報を見られないようにしていても、サーバーの側で「この人にこの情報を渡してよいか」を確かめていなければ、アプリを通さずにサーバーへ直接問い合わせられたときに守れません。NICTが恒久的な対策の前提に「攻撃者がアプリを介さずに API を直接操作できること」を置いているのはこのためです。

NICTは、主に狙われている脆弱性として次の4つを挙げています。

出典：NICT注意喚起PDF「図 1 A2B 攻撃の流れと主に狙われている脆弱性」とその説明を当社が要約。

個人情報保護委員会も、10月7日に改訂した事業者向けの資料「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」で、「APIが悪用される事例」を紹介しています。スマートフォンアプリやWebサービスのAPIの設計・設定の不備で、攻撃者がログインした後に「本来であれば取得できない他のユーザー情報を取得できる状態」になっていた事案です。原因として「管理対象から漏れているAPIが存在した。」ことや、アクセス回数の制限がなかったことを挙げています。

AIで何が変わるのか

NICTのPDFは、AIに3か所で触れています。「近年、AI の活用によってプログラムの解析や脆弱性の探索が効率化されており、こうした技術がサイバー攻撃に悪用されることが懸念されています。」「AI を利用したプログラム解析や脆弱性探索の効率化により、こうした攻撃がより多くのシステムに対して行われる可能性にも注意が必要です。」そして「個々のバックエンドサーバの仕様に合わせた攻撃への備えが重要になっています。」です。

A2B攻撃は、相手のサーバーごとに攻撃内容を変えるのが特徴です。これまで1つずつ手間をかけていた解析が速くなれば、対象にできるサービスの数が広がる、というのがNICTの懸念だと当社は読んでいます。AIで新しい種類の弱点が生まれるという話ではなく、もともとあるサーバー側の不備が見つかりやすくなる、という指摘です（当社の見方）。

守るのは誰か、事業者の対策と利用者にできること・できないこと

NICTの注意喚起は、Androidアプリを公開する事業者に向けたものです。事業者に求められていることと、利用者の側でできること・できないことを分けて整理します。

NICTが事業者に求めた3つの対策

NICTのPDFは、「Android アプリを公開している事業者には、自組織のアプリが攻撃者によって解析され、その結果がバックエンドサーバへの攻撃に利用されることを前提として、各種のセキュリティ対策を早急に点検することを強く推奨します。」としています。推奨対策は次の3つと、恒久的な対策の考え方です。

出典：NICT注意喚起PDF「図 2 Android アプリを公開する事業者に推奨する対策」とその説明、CYNEX Libraryのページを当社が要約。

PDFには、攻撃に関係するIPアドレス3件が侵害指標（IoC）として載っています。ただしNICTは、一致しただけで侵害と断定できないため、ログや通信内容とあわせて判断するよう注意しています。またNICTは、個別のシステムの診断や技術的な相談には対応しておらず、社内のセキュリティ担当者や開発・運用の委託先、セキュリティ専門事業者に相談するよう求めています。

総務省の10月13日の注意喚起も、「アプリ側の制御のみに依存せず、サーバ側で適切な認証・認可や入力値の検証等を実施することが重要」としています。個人情報保護委員会は10月7日の注意喚起で、利用する必要がなくなった個人データを遅滞なく消去するよう努めることも事業者に求めています。

利用者にできないこと、できること

NICTの注意喚起には、利用者向けの記述はありません。A2B攻撃で狙われるのは事業者のサーバーで、利用者のスマホに何かが仕掛けられる攻撃としては書かれていません。このため、アプリの設定やセキュリティ対策ソフトで、利用者がこの攻撃そのものを防ぐことはできません（当社の見方）。

出典：デジタル大臣の記者会見（2026年10月6日）、警察庁「サイバー警察局便り」2026 Vol.19。「当社の見方」と書いた部分は当社の整理です。

アプリを削除しても、それまでにサーバーに登録した氏名や連絡先、利用の記録は、事業者のサーバーに残ります（当社の見方）。使っていないサービスは、アプリを消すだけでなく退会の手続きをすると、事業者が持つ情報を減らす方向に働きます。ただし、退会後も法令などを理由に一定期間保管されることがあります。その例は関連記事で整理しています。

利用者が漏えいの被害を小さくするためにできることは、A2B攻撃に限らない一般的な対策です。デジタル大臣は10月6日の会見で、国民に「まず、パスワードの使いまわしをやめる。」「それから多要素認証、これを利用していただきたいと思っております。」と呼びかけ、メールやSMSのリンクを安易に開かず「必ず公式ウェブサイトや公式のアプリからアクセスをしていただきたい」と求めました。警察庁の「サイバー警察局便り」Vol.19も、漏えいのあとは「情報流出元の企業をかたる偽メールの可能性があります」と注意しています。

利用者が今日からできる3つのこと

A2B攻撃そのものは利用者には防げません。そのうえで、デジタル大臣・警察庁の呼びかけと当社の見方をもとに、漏えいが起きたときの影響を小さくするためにできることをまとめました。

よくある質問

A2B攻撃とは何ですか

NICTの脅威情報分析チームLETTICEが2026年10月13日に名付けた攻撃手法で、App-to-Backend Attackの略です。一般に公開されているAndroidアプリを解析してAPIの接続先や仕様を調べ、その情報をもとに、アプリの裏側で動くサーバーを狙います。

Androidのスマホを使っていると危ないのですか

狙われるのは利用者のスマホではなく、アプリがつながる事業者のサーバーです。NICTは、同様の問題はiOSアプリやWebサービスのAPIでも起こりうるとしています。端末の種類で危なさが決まる話ではありません（当社の見方）。

アプリを削除すれば安全ですか

アプリを削除しても、それまでにサーバーに登録した情報は事業者のサーバーに残ります（当社の見方）。使っていないサービスは、アプリの削除とは別に退会の手続きをすると、事業者が持つ情報を減らせます。

どのサービスがA2B攻撃の被害を受けたのですか

NICTの注意喚起には、被害を受けたサービス名や件数は書かれていません（2026年10月14日時点）。NICTはA2B攻撃を、相次ぐ情報漏えいの原因の一つとしています。

AIで何が変わるのですか

NICTは、AIの活用でアプリの解析や脆弱性の発見が効率化され、こうした攻撃がより多くのシステムに広がる可能性に注意が必要だとしています。A2B攻撃はサーバーごとに攻撃内容を変えるのが特徴のため、その手間が減ることへの懸念と当社は読んでいます。

利用者は何をすればよいですか

NICTの注意喚起は事業者向けで、利用者向けの記述はありません。利用者にできるのは、使っていないアカウントの整理、パスワードを使い回さないこと、多要素認証の設定、漏えい後の偽メールに注意し公式サイトや公式アプリで確かめることです。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社ですが、2026年10月から、身近なサービスで起きた情報漏えいについて、公表資料で確かめられることを整理する記事を公開しています。今回はNICTの注意喚起の原本と、公的機関の資料をもとにまとめました。